Microsoft sigue desplegando de forma progresiva los nuevos certificados Secure Boot para Windows 11, en un proceso que avanza de cara a la caducidad definitiva de los certificados originales de 2011, prevista para octubre de 2026. La compañía quiere completar la migración a los certificados de 2023 antes de que los antiguos dejen de estar vigentes, un cambio que afecta a la cadena de arranque seguro de los equipos compatibles con Windows 11.
La actualización acumulativa KB5124008, publicada junto al Patch Tuesday de septiembre de 2026, sigue incorporando más dispositivos al grupo de equipos de alta confianza que reciben el reemplazo de certificados de forma automática a través de Windows Update. La compañía ha confirmado que el despliegue continuará ampliándose en los próximos meses, y que varios de los certificados emitidos en 2011 ya han superado su fecha de caducidad sin que ello haya provocado problemas para los usuarios.
Los certificados de 2011 no caducan todos a la vez
No existe una única fecha límite, porque Microsoft utiliza certificados distintos para cada eslabón de la cadena Secure Boot, y cada uno tiene su propio calendario. Dos plazos importantes ya han quedado atrás: el Microsoft Corporation KEK CA 2011 expiró el 24 de junio de 2026, y el Microsoft UEFI CA 2011 hizo lo mismo tres días después, el 27 de junio.
La próxima fecha que de verdad importa es el 19 de octubre de 2026, cuando caduca el Microsoft Windows Production PCA 2011. Este certificado tiene un peso especial dentro del proceso, ya que es el que Microsoft emplea para firmar el cargador de arranque de Windows, de ahí que su renovación se haya convertido en la prioridad del despliegue actual. Por eso la compañía prefiere adelantar la migración de tantos equipos como sea posible antes de que llegue esa fecha, en lugar de esperar a que el plazo se agote sobre la marcha.
El PC no dejará de arrancar el 19 de octubre de 2026
La expiración de estos certificados no implica que los equipos con Windows 11 vayan a quedarse bloqueados de un día para otro. Microsoft ha explicado que los dispositivos compatibles podrán seguir migrando a los certificados de 2023 aunque los antiguos ya hayan caducado, y que los sistemas que todavía no han recibido el reemplazo seguirán arrancando con normalidad y recibiendo las actualizaciones habituales mientras dure el despliegue.
Aun así, la fecha de octubre explica la prisa con la que la compañía está ampliando la lista de dispositivos considerados fiables para la instalación automática. Cuantos más equipos entren en ese grupo antes de esa fecha, menos PCs quedarán dependiendo de certificados que llevan quince años en uso, algo que Microsoft prefiere evitar de cara a la seguridad del arranque a largo plazo. El objetivo es que, cuando llegue octubre, la mayoría de los equipos compatibles ya hayan completado la transición sin que el usuario haya tenido que intervenir manualmente.
Por qué Microsoft inicia la renovación de certificados
El motivo es la caducidad de los certificados emitidos en 2011, que van expirando a lo largo de 2026 en distintas fechas según el eslabón de la cadena Secure Boot al que corresponden. Para sustituirlos, Microsoft ha preparado un nuevo conjunto de certificados de 2023 y ha optado por retirar de forma progresiva los antiguos en lugar de esperar a que dejen de ser válidos.
Desde entonces, la compañía ha ido ampliando poco a poco el grupo de dispositivos que reciben los certificados nuevos sin intervención del usuario, evitando que el recambio dependa de que cada persona actualice manualmente su equipo. La fecha límite de octubre de 2026 marca el cierre de esa ventana de transición, pensada para dar tiempo suficiente a fabricantes y usuarios antes de que los certificados originales dejen de ser válidos.
Cómo comprobar si Secure Boot está activo
Por norma general no tenéis que instalar nada a mano: los certificados llegan por Windows Update en cuanto vuestro dispositivo se considera elegible. Lo que sí conviene es mantener el sistema al día e instalar cualquier actualización de BIOS o firmware que publique el fabricante, porque ahí suelen ir las claves que la placa base necesita para validar los nuevos certificados.
Para comprobar el estado actual, podéis entrar en Seguridad de Windows, ir a Seguridad del dispositivo y revisar el apartado de Secure Boot. Si aparece habilitado, el sistema está gestionando el cambio sin que tengáis que intervenir. Si en cambio muestra que está desactivado, tendréis que entrar en la configuración UEFI de la placa base para reactivarlo antes de que el despliegue llegue a vuestro equipo. Conviene repetir esta comprobación cada pocos meses mientras dure el proceso, sobre todo si vuestro equipo tiene ya varios años de antigüedad.